Le cadre STRIDE

STRIDE est un cadre de catégorisation des menaces développé par Microsoft. Il fournit six catégories de menaces afin que vous puissiez systématiquement vous demander « que pourrait-il se passer ? » pour chaque composant d'un système.

STRIDE est un moyen mnémotechnique pour retenir les six types de menaces :

• Surpation d'identité
• Taltération
• Répudiation
• Iivulgation d'informations
• Déni de service
• Elévation de privilèges

Chaque catégorie de STRIDE correspond à la violation d'une propriété de sécurité souhaitable. Cette association vous aide à retenir ce que chaque menace vise :

Usurpation d'identité signifie prétendre être une personne ou une chose que vous n'êtes pas. Cela porte atteinte à l'authentification.

Exemples :

• Se connecter avec des identifiants volés
• Falsifier l'adresse « De » d'un e-mail
• Mettre en place une fausse page de connexion pour récupérer des mots de passe
• Se faire passer pour un serveur de confiance

Mesures d'atténuation courantes : authentification forte, authentification multifacteur, TLS mutuel et signatures numériques.

Altération signifie modifier sans autorisation des données ou du code. Cela porte atteinte à l'intégrité.

Exemples :

• Modifier un champ de prix dans une requête HTTP avant son envoi
• Modifier un enregistrement de base de données sans autorisation
• Injecter du code malveillant dans une mise à jour logicielle
• Modifier un fichier journal pour dissimuler une activité

Mesures d'atténuation : validation des entrées, contrôles d'intégrité (hachages/HMAC), signature du code et contrôles d'accès.

Répudiation signifie qu'un utilisateur nie avoir effectué une action, alors que le système ne peut pas prouver le contraire. Cela porte atteinte à la non-répudiation.

Exemple : un utilisateur effectue une transaction frauduleuse, puis affirme ne jamais l'avoir effectuée, et aucun journal ne permet de le prouver.

Mesures d'atténuation :

• Journalisation d'audit complète et résistante à l'altération
• Signatures numériques pour les actions critiques
• Horodatages sécurisés et transfert des journaux vers un stockage à écriture unique

La divulgation d'informations consiste à exposer des données à des personnes qui ne devraient pas y avoir accès. Cela porte atteinte à la confidentialité.

Exemples :

• Une base de données non chiffrée qui expose des dossiers clients
• Des messages d'erreur détaillés révélant des traces de pile ou des requêtes
• Un compartiment de stockage en nuage mal configuré et accessible publiquement
• Des données sensibles transmises via HTTP en clair

Mesures d'atténuation : chiffrement en transit et au repos, accès avec le privilège minimal et gestion attentive des erreurs.

Le déni de service (DoS) consiste à rendre un système indisponible pour les utilisateurs légitimes. Cela porte atteinte à la disponibilité.

Exemples :

• Saturer un serveur de trafic par une attaque distribuée par déni de service
• Une seule requête coûteuse qui épuise les ressources de la base de données
• Remplir l'espace disque avec des téléversements
• Déclencher une boucle infinie ou une fuite de ressources

Mesures d'atténuation : limitation du débit, quotas, limites de taille des entrées, mise à l'échelle automatique et protection en amont contre les attaques distribuées par déni de service.

L'élévation de privilèges consiste à obtenir des capacités supérieures à celles que vous êtes autorisé à posséder. Cela porte atteinte à l'autorisation.

Exemples :

• Un utilisateur normal qui accède à un point d'accès d'administration
• Exploiter un bogue pour exécuter du code avec les privilèges du superutilisateur
• Modifier son propre rôle au moyen d'un paramètre manipulé
• Sortir d'un conteneur pour atteindre l'hôte

Mesures d'atténuation : appliquer l'autorisation à chaque requête, respecter le principe du privilège minimal et utiliser la mise en bac à sable.

La force de STRIDE tient à son application méthodique. Pour chaque élément de votre diagramme de conception, parcourez les six catégories et demandez-vous si cette menace s'applique.

Il existe deux façons d'appliquer STRIDE :

• STRIDE par élément — analyser chaque composant (processus, magasin de données, entité externe) au regard des types de menaces pertinents
• STRIDE par interaction — analyser chaque flux de données entre les éléments

Toutes les menaces ne s'appliquent pas à chaque élément. Par exemple, les magasins de données se prêtent rarement à l'usurpation d'identité, mais constituent des cibles privilégiées pour l'altération et la divulgation d'informations. Utilisez le sous-ensemble pertinent pour chaque élément.

STRIDE s'associe naturellement à une stratégie d'atténuation. Pour chaque menace identifiée, choisissez l'une des quatre réponses suivantes :

• Atténuer — ajouter un contrôle pour réduire le risque
• Éliminer — supprimer la fonctionnalité ou le composant qui en est la cause
• Transférer — déplacer le risque (assurance, tiers)
• Accepter — tolérer consciemment un risque faible

Consignez la décision prise pour chaque menace afin que rien ne soit ignoré en silence.

Évaluez vos connaissances des catégories de STRIDE.

Vous avez découvert le cadre STRIDE :

• Surpation d'identité (authentification), Taltération (intégrité), Répudiation (non-répudiation)
• Iivulgation d'informations (confidentialité), Déni de service (disponibilité), Elévation de privilèges (autorisation)
• Chaque catégorie porte atteinte à une propriété de sécurité précise
• Appliquez STRIDE méthodiquement, élément par élément ou interaction par interaction
• Pour chaque menace, choisissez de l'atténuer, de l'éliminer, de la transférer ou de l'accepter

Ensuite, vous cartographierez les flux de données et les frontières de confiance pour savoir où appliquer STRIDE.